Por que dois sites com a mesma sub-rede não são uma única LAN

Dois escritórios usam ambos 192.168.77.0/24, e alguém propõe um túnel para que sejam uma única rede. A frase soa simples e esconde três projetos diferentes: duas LANs independentes que colidem, um segmento Ethernet estendido de propósito por uma WAN, e um arranjo de proxy ARP que responde por endereços remotos. Qual deles você tem decide o que um host faz com o pacote, e a resposta é visível antes de o gateway VPN entrar em cena.

O host decide antes do roteador

Um host com endereço 192.168.77.10/24 compara o destino com o próprio prefixo. Tudo dentro desse prefixo está no link direto, então o host resolve diretamente o endereço de camada de enlace do destino. Tudo o que fica fora vai para o gateway padrão.

Essa decisão ocorre na pilha do host, não no túnel. Uma rota adicionada no gateway não consegue salvar um pacote que o host nunca envia para lá.

Assim, quando 192.168.77.20 só existe no outro site, o host local o pede por ARP e não recebe resposta. O handshake VPN pode estar perfeitamente saudável enquanto isso falha. A falha parece um host morto e não um problema de roteamento. Reconhecer essa assinatura economiza uma hora de depuração do túnel.

ARP é uma pergunta de link local

ARP pergunta quem possui um endereço neste link, e a resposta tem de vir de algo que ouça a difusão. Um roteador na outra ponta de um túnel IPsec não a ouve, a menos que o projeto faça dos dois sites um único domínio de difusão.

Dois dispositivos com o mesmo endereço pioram a situação: nem uma resolução bem-sucedida pode dizer qual respondeu.

Endereçamento duplicado não é um bug de roteamento e nenhuma rota o corrige. Ou os sites são renumerados em prefixos distintos, ou se tornam de propósito um único domínio de camada de enlace.

Um segmento estendido transporta quadros, não rotas

Um túnel que transporta Ethernet e está ligado a pontes torna os dois sites parte de um único domínio de camada de enlace. As difusões ARP chegam ao outro lado, e cada ponte aprende quais endereços MAC ficam onde. A documentação da ponte do Linux descreve essa fronteira de encaminhamento baseada em MAC.

Aqui o gateway remoto não roteia de forma alguma entre duas sub-redes idênticas. Os quadros atravessam uma camada inferior que roteia IP por conta própria, enquanto as pontes prolongam a conversa Ethernet.

O custo é um raio de impacto maior. O flooding para destinos desconhecidos, os laços, a atribuição DHCP e o endereçamento único exigem todos um plano que abranja os dois sites. Quando a WAN cai, os hosts perdem tráfego que consideram local. A filtragem na ponte e as regras VLAN podem restringir o que atravessa, mas o transporte ainda não promete que todo quadro de controle de link local chegue.

O proxy ARP é um terceiro projeto

Um roteador pode responder ao ARP por um endereço remoto e então rotear para ele. Isso faz o host remoto parecer estar no link direto para o emissor sem estender um domínio de difusão.

É uma ferramenta mais estreita que a ponte: depende do encaminhamento, das rotas de retorno e de um dono claro para cada endereço.

Também não torna roteáveis protocolos arbitrários que não sejam IP, e não reproduz um domínio de difusão Ethernet. Use-o quando o requisito for exatamente essa substituição, não como atalho para uma renumeração adiada.

Escolha a partir do requisito, depois verifique

Para o acesso comum de aplicações entre escritórios, prefixos distintos e rotas explícitas dão uma fronteira mais clara. Faça ponte quando o requisito for realmente adjacência de camada de enlace. Renumere quando a única razão do prefixo compartilhado for que ninguém ainda o fez.

Confirme qual projeto você realmente tem perguntando a um host o que ele faz com o destino:

ip route get 192.168.77.20
ip neigh show 192.168.77.20

Um resultado no link direto com uma entrada de vizinho falhada aponta para um caminho de camada de enlace ausente. Um resultado via nomeia o gateway e move a pergunta para o roteamento. Numa ponte, verifique a base de encaminhamento para ver se o MAC foi aprendido pelo túnel. Cada saída estreita a pergunta de projeto em vez de reiniciá-la.